Ролі й доступ
Хто в акаунті може надсилати, погоджувати чи вивантажувати — не гігієна ротації API-ключів.
Хто може надсилати vs гігієна ротації API-ключів
Ролі людей вирішують, хто може send. Ротація API-ключів і cutover sandbox лишаються в Developers — не змішуйте видачу місць із lifecycle секретів.
Хто може надсилати, approve або експортувати
Розділіть send, approve й export, щоб finance CSV на кінець місяця не міг запустити production SMS. Прив’яжіть Live-промоушен до runway і compliance-гейтів.
Роль export не повинна вміти send
Least privilege на prepaid: доступ до audit і GDPR export — не місце campaign send. Тримайте report-ролі read-only на live messaging-шляху.